SkillForge | ATLAS

Sicherheit und Best Practices - Routing

12 min read

Sicherheit und Best Practices

In dieser Lerneinheit vertiefst du deine Kenntnisse zur sicheren Konfiguration von Routing-Protokollen, insbesondere durch den Einsatz von Authentifizierungsmechanismen wie MD5. Du lernst bewährte Best Practices kennen, um typische Sicherheitslücken in Routing-Setups zu vermeiden und Angriffe auf das Routing-System effektiv abzuwehren. Die erlernten Sicherheitsmaßnahmen kannst du direkt in der Praxis anwenden, um Unternehmensnetze vor unbefugten Routing-Updates und Manipulationen zu schützen.

Einführung

Stell dir vor, ein einziger falscher Routing-Eintrag sorgt dafür, dass der gesamte Datenverkehr deines Unternehmens ins Leere läuft oder - noch schlimmer - von einem Angreifer abgefangen wird. Solche Vorfälle passieren häufiger, als du denkst, und können enorme finanzielle Schäden und Datenverluste verursachen.

Ungesichertes vs. gesichertes Routing
Ungesichertes vs. gesichertes Routing — Bildrechte: Ausbildung-in-der-IT.de (KI-unterstützt)

Doch wie kannst du verhindern, dass Angreifer Schwachstellen in deinem Netzwerk ausnutzen oder ein kleiner Konfigurationsfehler zur Katastrophe führt? Die Antwort liegt in gezielten Sicherheitsmaßnahmen und bewährten Best Practices, die nicht nur Risiken minimieren, sondern auch für einen stabilen und zuverlässigen Betrieb sorgen.

In dieser Lerneinheit erfährst du, wie du Routing-Protokolle absicherst, mit Filtern und Monitoring die Kontrolle behältst und dadurch eine widerstandsfähige Netzwerkumgebung schaffst.

Lernziele

Nach dieser Lerneinheit kannst du:

  1. Erklären, warum Routing-Protokolle abgesichert werden müssen und welche Risiken bei ungeschützten Routing-Updates entstehen.
  2. Die wichtigsten Authentifizierungsverfahren für Routing-Protokolle (Plain-Text, MD5, HMAC-SHA) vergleichen und geeignete Verfahren für verschiedene Einsatzszenarien auswählen.
  3. Routing-Updates gezielt mit Route Maps und Prefix Lists filtern, um die Sicherheit und Effizienz im Netzwerk zu erhöhen.
  4. Monitoring- und Analyse-Tools anwenden, um Routing-Probleme zu erkennen, Fehler systematisch zu beheben und die Netzwerksicherheit kontinuierlich zu überwachen.

Überleitung

Routing-Protokolle sind zentrale Bausteine in Netzwerken. Sie sorgen dafür, dass Router miteinander kommunizieren und den optimalen Weg für Datenpakete finden. Genau deshalb sind sie ein attraktives Ziel für Angreifer: Wenn Routing-Updates manipuliert werden, kann der Datenverkehr umgeleitet, abgefangen oder das gesamte Netzwerk gestört werden.

In diesem Abschnitt erfährst du, warum die Absicherung dieser Protokolle so wichtig ist, welche Methoden zur Authentifizierung existieren und wie du Routing-Protokolle wirksam schützt.

Warum müssen Routing-Protokolle abgesichert werden?

Die Kommunikation zwischen Routern ist auf Vertrauen angewiesen. Ohne Schutzmechanismen könnten Unbefugte falsche Routing-Informationen einspeisen. Das kann dazu führen, dass Datenströme falsch geleitet, ausspioniert oder ganze Netzbereiche vom Internet getrennt werden. Ein effektiver Schutz der Routing-Protokolle verhindert solche Angriffe und stellt die Integrität und Verfügbarkeit des Netzwerks sicher.

Authentifizierung von Routing-Updates

Damit Routing-Informationen nur von autorisierten Routern stammen, kommen verschiedene Authentifizierungsverfahren zum Einsatz:

  • Plain Text Authentication: Hierbei wird das Passwort im Klartext übertragen. Diese Methode ist zwar einfach zu konfigurieren, bietet aber kaum Schutz. Jeder, der den Netzwerkverkehr mitschneidet, kann das Passwort auslesen.

  • Kryptographische Authentifizierung (z. B. MD5, HMAC-SHA): Es wird ein Hash-Wert aus Passwort und Nachricht gebildet. Der Empfänger berechnet diesen Hash ebenfalls und vergleicht die Werte. Stimmen sie überein, wird das Routing-Update akzeptiert. Achtung: Der MD5-Algorithmus gilt heute als veraltet und unsicher, da sich Hash-Kollisionen gezielt erzeugen lassen. Moderne Netzwerke sollten daher HMAC-SHA256 oder SHA-3 verwenden.

Beispiel für eine sichere Authentifizierung: OSPF kann beispielsweise über HMAC-SHA256 abgesichert werden. Das Passwort wird nicht übertragen, sondern nur der Hash. So schützt du die Authentizität deiner Routing-Updates.

Praxisbeispiel: OSPF-Authentifizierung mit HMAC (analog zu MD5)

Konfiguration auf Router A und B: Beide Router müssen identisch konfiguriert sein, damit die Authentifizierung funktioniert.

router ospf 1
area 0 authentication message-digest
interface GigabitEthernet0/1
ip ospf message-digest-key 1 sha256 MeinStarkesPasswort

Mit show ip ospf interface kannst du anschließend prüfen, ob die Authentifizierung aktiv ist und korrekt funktioniert.

Schutz vor Routing-Angriffen

Route Hijacking

Angreifer versuchen, falsche Routing-Informationen einzuschleusen, um den Datenverkehr umzuleiten oder abzuhören. Route Hijacking kann innerhalb eines Netzwerks oder auch zwischen autonomen Systemen erfolgen.

Maßnahmen:

  • Setze auf Protokolle mit moderner Authentifizierung (z. B. OSPFv3, HMAC).
  • Filtere Routing-Updates und lasse sie nur von bekannten, vertrauenswürdigen Quellen zu.
  • Verwende TTL-Security (z. B. für BGP nach RFC 5082), um Pakete mit abweichender Hop-Anzahl abzuweisen.

Schutz vor Routing-Angriffen

BGP-Hijacking

Beim BGP-Hijacking kündigt ein autonomes System IP-Adressbereiche an, die ihm nicht gehören, um den Datenverkehr fehlzuleiten.

Maßnahmen:

  • Nutze BGP Origin Validation, z. B. mit Resource Public Key Infrastructure (RPKI).
  • Setze BGPsec für Pfadvalidierung ein, damit nur gültige Pfade akzeptiert werden.
  • Überwache BGP-Routing-Tabellen und Peering-Abkommen regelmäßig auf Anomalien.

Weitere Best Practices

  • Halte die Firmware und Software deiner Netzwerkgeräte aktuell.
  • Verwende komplexe und regelmäßig wechselnde Passwörter oder Schlüssel.
  • Beschränke Routing-Updates auf explizit vertrauenswürdige Schnittstellen.
  • Implementiere Monitoring- und Alarmierungssysteme, um Routing-Anomalien früh zu erkennen.
  • Segmentiere dein Netzwerk, damit im Ernstfall nicht das gesamte Netz betroffen ist.
⏳ Lädt Dataview-Inhalt...

Überleitung

In großen und sicherheitskritischen Netzwerken reicht es nicht, Routing-Protokolle nur abzusichern. Du musst auch genau steuern, welche Routing-Informationen weitergegeben werden, und das Netzwerk laufend überwachen. Fehlerhafte oder unerwünschte Routen können den Betrieb stören oder sogar Sicherheitslücken verursachen. In diesem Abschnitt lernst du, wie Routing-Updates gefiltert werden und wie du Routing-Probleme systematisch erkennst und behebst.

Filtern von Routing-Updates

Routing-Updates enthalten Informationen über erreichbare Netzwerke und werden zwischen Routern ausgetauscht. Besonders in großen Netzwerken ist es wichtig, gezielt zu steuern, welche Routen weitergegeben oder angenommen werden. Dafür nutzt du hauptsächlich Route Maps und Prefix Lists.

1.1 Route Maps

Route Maps sind flexible Werkzeuge, um Routing-Updates nach dem Prinzip “if-then-else” zu steuern. Jeder Eintrag einer Route Map besteht aus:

  • Match-Statements: Definieren Bedingungen, z. B. bestimmte IP-Präfixe oder AS-Nummern.
  • Set-Statements: Bestimmen, welche Aktionen durchgeführt werden, z. B. Metrik anpassen oder Next-Hop setzen.

Beispiel (Cisco IOS):

route-map FILTER_EXAMPLE permit 10
 match ip address prefix-list FILTER_PL
 set metric 200

Diese Route Map setzt die Metrik auf 200 für alle Routen, die durch die Prefix-Liste FILTER_PL definiert sind.

Praxisnutzen:

  • Traffic gezielt steuern (Traffic Engineering)
  • Sicherheitsrichtlinien durchsetzen
  • Routing-Informationen zwischen autonomen Systemen filtern

Filtern von Routing-Updates

Prefix Lists

Prefix Lists filtern Routing-Informationen anhand von IP-Präfixen und deren Länge. Sie erlauben dir, exakt festzulegen, welche Routen akzeptiert oder blockiert werden.

Beispiel:

ip prefix-list FILTER_PL seq 5 permit 192.168.1.0/24
ip prefix-list FILTER_PL seq 10 deny 0.0.0.0/0 le 32

Nur das Präfix 192.168.1.0/24 wird erlaubt, alle anderen werden blockiert.

Vorteile:

  • Hohe Performance
  • Präzise Kontrolle über propagierte Routen

In der Praxis kombinierst du Prefix Lists oft mit Route Maps, um komplexe Filterregeln zu ermöglichen.

Monitoring und Fehlerbehebung bei Routing-Problemen

Effektives Netzwerkmonitoring und strukturierte Fehlerbehebung sind entscheidend für die Betriebssicherheit.

Netzwerkmonitoring

Wichtige Tools und Verfahren:

  • SNMP: Standardprotokoll zum Überwachen und Steuern von Netzwerkgeräten (Status, Traffic, Fehlerzustände)
  • Syslog: Zentrales Sammeln von Logmeldungen für die Ereignisanalyse
  • NetFlow, sFlow, IPFIX: Detaillierte Analyse von Datenströmen, z. B. zur Erkennung von Angriffen oder Überlastungen
  • ICMP (Ping, Traceroute): Prüfen der Erreichbarkeit und Pfadanalyse zwischen Geräten

Monitoring und Fehlerbehebung bei Routing-Problemen

Typische Routing-Probleme und Lösungen

ProblemUrsacheLösung/Vorgehen
Routing-SchleifenInkonsistente Tabellen, falsche RedundanzSplit-Horizon, Route Poisoning, korrekte TTL-Einstellungen
Black-Hole-RoutingFehlerhafte oder fehlende RouteRouting-Tabellen prüfen, Konfiguration korrigieren, ggf. Firmware-Update
KonvergenzproblemeLangsame Anpassung nach Topologie-ÄnderungenRouting-Protokoll-Timer optimieren (z. B. OSPF Hello/Dead, BGP Timers)
Bandbreiten-/LatenzÜberlastete Links, ungünstige PfadwahlQoS anpassen, Netzwerkerweiterung prüfen

Werkzeuge zur Fehlerdiagnose

  • Wireshark / tcpdump: Analyse von Netzwerkpaketen zur Identifikation von Anomalien
  • Network Performance Monitors: Überwachen und Visualisieren der Netzwerkleistung (z. B. SolarWinds, PRTG)
  • BGP Looking Glasses: Externe Webtools zur Überprüfung und Analyse globaler Routing-Tabellen

Best Practices

  • Kombiniere Route Maps und Prefix Lists für maximale Kontrolle über Routing-Updates.
  • Setze konsequent Monitoring und Alarmierung ein.
  • Dokumentiere alle Konfigurationsänderungen und Fehlerbehebungen.
  • Schule dein Team regelmäßig in neuen Tools und Verfahren.

Fazit:
Gezielte Routing-Filter und professionelles Monitoring schützen dein Netzwerk vor Fehlkonfigurationen und Angriffen. Kontinuierliche Überwachung und systematische Fehlerdiagnose bilden die Basis für einen sicheren und stabilen Netzbetrieb.

⏳ Lädt Dataview-Inhalt...

Zusammenfassung und Ausblick

Zusammenfassung

Die Absicherung und Kontrolle von Routing-Protokollen bilden die Grundlage für einen sicheren und stabilen Netzwerkbetrieb. Routing-Protokolle wie OSPF, RIP oder BGP sorgen dafür, dass Datenpakete zuverlässig ihren Weg durch das Netzwerk finden. Genau deshalb sind sie besonders schützenswert: Werden Routing-Informationen manipuliert, kann das gesamte Netzwerk kompromittiert werden.

Ein zentraler Baustein der Sicherheit ist die Authentifizierung von Routing-Updates. Moderne kryptografische Verfahren wie HMAC-SHA256 stellen sicher, dass nur autorisierte Router Routing-Informationen austauschen. Veraltete Methoden wie Klartextpasswörter oder MD5 bieten hingegen keinen ausreichenden Schutz und sollten vermieden werden.

Gleichzeitig reicht es nicht aus, nur die Authentizität der Daten zu prüfen. Mit Hilfe von Route Maps und Prefix Lists filterst du gezielt, welche Routing-Informationen akzeptiert oder weitergegeben werden. So lässt sich verhindern, dass fehlerhafte oder unerwünschte Routen in das Netzwerk gelangen. Diese Filtermechanismen erhöhen nicht nur die Sicherheit, sondern verbessern auch die Effizienz und Kontrolle der Netzwerkstruktur.

Ein weiterer wichtiger Aspekt ist das kontinuierliche Monitoring: Nur durch ständiges Überwachen der Routing-Protokolle und -Tabellen können Fehler, Manipulationen oder ungewöhnliche Muster frühzeitig erkannt werden. Dafür stehen professionelle Werkzeuge wie SNMP, Syslog, NetFlow und Wireshark zur Verfügung. Sie helfen, typische Routing-Probleme wie Schleifen, Black Holes oder langsame Konvergenz gezielt zu identifizieren und schnell zu beheben.

Fazit:
Erst das Zusammenspiel aus starker Authentifizierung, gezielten Filtern und konsequentem Monitoring ermöglicht den langfristig sicheren und zuverlässigen Einsatz von Routing-Protokollen in modernen Netzwerken.

Ausblick

Im nächsten Schritt setzt du das Gelernte praktisch um: Du analysierst reale Konfigurationsbeispiele, übst das Einrichten von Filtern und lernst, Monitoring-Tools im Alltag gezielt einzusetzen. So festigst du dein Verständnis und bist optimal vorbereitet, Routing-Protokolle in echten Netzwerken abzusichern und zu überwachen.

Graphansicht

Backlinks